Instructure/Canvas-tietoturvaloukkaus – Seuraukset IT-toimittajille
Instructure/Canvas-tietoturvaloukkaus ja NIS2/kyberturvallisuuslaki – Seuraukset IT-toimittajille
Mitä tapahtui?
Instructure vahvisti 2. toukokuuta 2026 tietoturvapoikkeaman Canvasissa, jossa opiskelijatietoja, kuten nimiä, sähköpostiosoitteita, opiskelijatunnuksia ja viestejä on saattanut paljastua. Haitat koskivat yhteensä 31 ruotsalaista korkeakoulua, jotka kaikki käyttävät SUNETin kautta toimitettua Canvasia.
Kuka kantaa vastuun?
Mukana on kolme toimijaa: Instructure (ohjelmistotoimittaja), SUNET (ruotsalainen välittäjä ja hankintaelin) ja yliopistot (loppuasiakkaat). Kyberturvallisuuslain mukaan SUNETilla on Ruotsissa suurin vastuu:
Toimitusketjun vastuu. Kyberturvallisuuslaki edellyttää organisaatioilta, että ne asettavat turvallisuusvaatimuksia digitaalisia palveluja toimittaville toimittajille ja alihankkijoille. SUNETin ja Instructuren välisen sopimuksen riittävyyttä näiden vaatimusten osalta voidaan tutkia.
Poikkeamien ilmoittaminen. Merkittävän poikkeaman sattuessa toimijan on annettava ennakkovaroitus 24 tunnin kuluessa, yksityiskohtaisempi ilmoitus 72 tunnin kuluessa, tilanneselvitys, jos poikkeama jatkuu, ja lopuksi loppuraportti.
Seuraamukset. Johto voidaan asettaa henkilökohtaisesti vastuuseen puutteista, ja organisaatiolle voi koitua huomattavia taloudellisia rangaistuksia maailmanlaajuisen liikevaihdon perusteella.
MSP:t ja kriittiset IT-toimittajat kohtaavat täsmälleen samanlaisen riskin
Tämä ei ole vain SUNETin ongelma. Palveluntarjoajana tai IT-toimittajana julkiselle sektorille – kouluille, kunnille, alueille, valtion virastoille – olet täsmälleen samassa asemassa. Olet linkki taustalla olevan alustan ja lain piiriin kuuluvan loppuasiakkaan välillä.
Ja tässä on se, minkä pitäisi todella herättää huomiota: tietoturvaloukkaus ei tapahtunut ruotsalaisissa yliopistoissa, vaan niiden toimittajalla Yhdysvalloissa.
Silti raportointivelvollisuuden kantavat, tarkastelun kohteeksi joutuvat ja seuraamusten riskin kohtaavat ruotsalaiset toimijat ketjussa. Kriittisenä IT-toimittajana voit joutua vastaamaan raskain sakoin jonkun toisen turvallisuusvirheestä, jos sinulla ei ole:
- Dokumentoituja turvallisuusvaatimuksia alihankkijoillesi sopimuksissa
- Tapahtumienhallintasuunnitelmaa tiukoin aikarajoin (24/72 tuntia) sisäänrakennettuna
- Prosesseja toimittajiesi turvallisuustilan jatkuvaan seurantaan ja seurantaan
Toimijoiden on myös itse tunnistettava, että he ovat lain piirissä, ja rekisteröidyttävä Ruotsin kriisivalmiusvirastoon. Mikään viranomainen ei tule koputtamaan ovelle. Jo pelkästään tämän vaiheen laiminlyönti voi johtaa valvontatoimiin.
Sakot eivät ole symbolisia: olennaisille yksiköille seuraamukset voivat nousta 10 miljoonaan euroon eli 2 prosenttiin maailmanlaajuisesta vuosilaskutuksesta. Tärkeillä yksiköillä yläraja on 7 miljoonaa euroa eli 1,4 prosenttia. Canvas-tapaus on konkreettinen esimerkki siitä, miten säännökset vaikuttavat käytännössä, ja jälleen yksi herätys koko Ruotsin IT-toimitusketjulle.